Nginx 对上游使用SSL链接

L96

双向认证SSL指令示列

对下游使用证书指令

Syntax:	ssl_certificate file;
Default:	—
Context:	http, server

Syntax:	ssl_certificate_key file;
Default:	—
Context:	http, server

代码示列 首先需要将 ngx_http_ssl_module编译进nginx 一般证书可以动态生成 详见 SSL证书生成方式

listen  ssl; # managed by Certbot
 ssl_certificate /etc/letsencrypt/live/shoppas.com.cn/fullchain.pem; # managed by Certbot
 ssl_certificate_key /etc/letsencrypt/live/shoppas.com.cn/privkey.pem; # managed by Certbot
 include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot
 ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # managed by Certbot

如何验证下游证书

Syntax:	ssl_client_certificate file;
Default:	—
Context:	http, server

Syntax:	ssl_verify_client on | off | optional | optional_no_ca;
Default:	ssl_verify_client off;
Context:	http, server

如何对上游使用证书 如果需要链接上游 可以在location设置独立的证书

Syntax:	proxy_ssl_certificate file;
Default:	—
Context:	http, server, location

Syntax:	proxy_ssl_certificate_key file;
Default:	—
Context:	http, server, location

如何验证上游的证书

Syntax:	proxy_ssl_trusted_certificate file;
Default:	—
Context:	http, server, location

Syntax:	proxy_ssl_verify on|off;
Default:	proxy_ssl_verify off;
Context:	http, server, location

SSL模块提供的变量

• ssl_cipher ： 本次通讯选用的安全套件
• ssl_ciphers : 客户端支持的所有安全套件
• ssl_protocal : 本次通讯选用的 TLS 版本
• ssl_curves：客户端支持的椭圆曲线

证书

• 　　ssl_client_raw_cert: 原始客户端证书内容
• 　　ssl_client_escaped_cert：返回客户端证书做urlencode编码后的内容
• 　　ssl_client_cert：对客户端证书每一行内容前加tab制表符空白，增强可读性
• 　　ssl_client_fingerprint：客户端证书的SHA1指纹

证书结构化信息

• 　　ssl_server_name 通过TLS插件SNI获取到服务域名
• 　　ssl_client_i_dn 依据RFC2253获取到证书issuer nd信息 如: CN=...,O=...,L=...,C=..,
• 　　ssl_client_i_dn_legacy 依据RFC2253获取到证书issuer nd信息 如: /CN=.../O=.../L=.../C=...
• 　　ssl_client_s_dn  依据RFC2253获取到证书subject dn信息
• 　　ssl_client_s_dn_legacy   依据RFC2253获取到证书subject dn信息 格式不一样而已

证书有效期

• 　　ssl_client_v_end 返回客户端正式的过期时间
• 　　ssl_client_v_ramain 返回还有多少天客户端证书过期
• 　　ssl_client_v_start 客户端证书颁发时间

链接有效性

　　ssl_client_serial 返回连接上客户端证书的序列号

　　ssl_early_data 在TLS1.3协议中使用early data且握手未完成返回1 否则返回空字符串

　　ssl_client_verify 如果验证失败为FAILED原因 如果没有验证证书则为NONE 验证成功为SUCCESS

　　ssl_session_id 已经建立连接的sessionId

　　ssl_session_reused 如果session被复用 则为r 否则为.

创建证书示列

创建根证书

　　创建CA私钥命令 ： openssl genrsa -out ca.key 2048

　　创建CA公钥 ：openssl req -new -x509 -days 3650 -key ca.key -out ca.crt  //后面可能让输入很多选项 比如国家 城市 等

签发证书

　　创建私钥

　　openssl genrsa -out a.pem 1024 //创建证书a

　　openssl rsa -in a.pem -out a.key //创建a证书的公钥

　　生成签发请求

　　openssl req -new -key a.pem -out a.csr //针对a证书做签发

　　使用CA证书进行签发

　　openssl x509 -req -sha256 -in a.csr -CA ca.crt -CAKey ca.key -CAcreateserial -days 3650 -out a.crt //使用ca证书来签发a证书

　　验证签发证书是否正确

　　openssl verify -CAfile ca.crt a.crt